PHP 8.5.5 下必须使用 firebase/php-jwt v7.x 版本（最低 PHP 8.1，明确兼容 8.4+），v6.x 不支持且会触发弃用警告；验证时需严格确保密钥一致、token 字符串 clean、时区设为 UTC，并正确访问 stdClass 类型的 payload。
JWT::decode() 在 PHP 8.5.5 下报错，基本是因为库版本不兼容——firebase/php-jwt v6.x 不支持 PHP 8.5，必须用 v7.x。
PHP 8.5.5 要装哪个 jwt 库版本？
v7.x 是唯一支持 PHP 8.5 的主线版本（最低要求 PHP 8.1，明确声明兼容 8.4+）。v6.x 在 PHP 8.5 下虽不直接崩溃，但会触发 Deprecated: Passing null to parameter 类警告，且部分类型校验逻辑已失效。
- 运行
composer require firebase/php-jwt:^7.0，别信默认 install 的 v6 - 如果报依赖冲突，删掉
composer.lock和vendor/后重装 - 确认安装成功：检查
vendor/firebase/php-jwt/CHANGELOG.md里是否有 v7.x 版本记录
JWT::decode() 怎么传参才不抛 SignatureInvalidException？
这个异常 90% 不是算法问题，而是密钥或 token 字符串被意外污染。v7 默认开启严格 base64 校验，空格、换行、多余 padding 都会导致签名比对失败。
- 密钥必须和生成时完全一致：字符串密钥不能有前后空格；RSA 公钥必须是 PEM 格式，以
-----BEGIN PUBLIC KEY-----开头，不能是文件路径 - token 字符串要 clean：从
Authorization: Bearer xxx提取后，用trim($token)去首尾空白 - 别手动 base64_decode 或拼接：v7 内部已处理，自己 decode 反而破坏 signature 段
为什么本地验证总提示 “Expired token”？
PHP 8.5.5 默认时区不是 UTC，而 JWT 的 exp 和 iat 字段按 RFC 7519 必须用 UTC 时间戳校验。本地开发机时区设为 Asia/Shanghai，time() 返回值比 UTC 快 8 小时，导致 exp 看似已过期。
- 验证前必须执行
date_default_timezone_set('UTC')，且要在JWT::decode()调用之前 - 生成 token 时也建议统一用 UTC：
'exp' => (new DateTime('now +1 hour', new DateTimeZone('UTC')))->getTimestamp() - 别依赖
ini_set('date.timezone', 'UTC')—— 它在某些 SAPI（如 CLI）下不可靠
如何安全提取 payload 里的用户 ID？
v7 返回的 $decoded 是 stdClass 对象，不是数组。直接 $decoded['user_id'] 会报 Notice，且未校验字段是否存在就访问容易出错。
立即学习“PHP免费学习笔记（深入）”；
- 用
isset($decoded->user_id) ? $decoded->user_id : null判断字段 - 更稳妥的做法是先 cast：
$payload = (array) $decoded;，再取$payload['user_id'] - 如果 payload 结构固定，建议定义 DTO 类并用
json_decode(json_encode($decoded), true)转成关联数组
ExpiredException 和 SignatureInvalidException 就会交替出现，让人误以为密钥有问题。 
